CVE-2021-21623

Plugin Jenkins Matrix Authorization Strategy, versões 2.6.5 e anteriores

O problema decorre de uma verificação incorreta de permissões, permitindo que invasores com permissão Item/Read em itens aninhados tenham acesso a eles, mesmo que não possuam permissão Item/Read para as pastas pai. Em uma organização hierárquica de itens no Jenkins, espera-se que um item seja acessível somente se todos os seus ancestrais forem acessíveis. No entanto, o plugin vulnerável não realiza corretamente essas verificações de permissão. Isso afeta a acessibilidade de itens, como tarefas, organizados usando o plugin Folders ou mecanismos semelhantes.

Para as versões 2.6.5 e anteriores do Plugin de Estratégia de Autorização Matrix do Jenkins, como solução temporária, não conceda permissões Item/Read em itens individuais a usuários que não tenham acesso aos itens pai. Além disso, considere definir a propriedade do sistema Java hudson.security.AuthorizationMatrixProperty.checkParentPermissions como false para desativar completamente a verificação incorreta de permissão, embora isso deva ser feito com cautela. Para uma correção permanente, atualize para a versão 2.6.6 ou posterior, que exige permissão Item/Read em itens pai para conceder permissão Item/Read em um item individual.